Experiment: Besucher der CeBIT geben ihre Daten preis
Die Besucher der CeBIT haben großen Nachholbedarf in Sachen Sicherheit: Das ist das Ergebnis eines Social- Engineering-Experiments von Firebrand Training. Der IT-Schulungsanbieter gab auf dem größten internationalen IT-Branchentreff vor, eine IT-Sicherheitsumfrage durchzuführen.
72 Prozent der 350 Befragten teilten ohne Zögern Namen, Geschäfts-E-Mail-Adresse, berufliche Position sowie im Unternehmen eingesetzte Betriebs- und Datenbanksysteme mit. Diese scheinbar trivialen Angaben können in den Händen von Cyber-Kriminellen zur gefährlichen Waffe werden: Denn böswillige Hacker nutzen sie als Angelhaken, um weitere relevante Informationen über eine spezifische Computernetzwerk-Umgebung auszuspähen, sprich Footprinting durchzuführen. Finden sie dann zum Beispiel noch die Nummern offener Ports oder IP-Adressen heraus, leiten sie Schwächen im Firmennetzwerk ab und entwickeln Angriffsstrategien.
Immerhin acht Prozent der Befragten wollten wissen, wer denn die Umfrage durchführe, ließen sich aber schnell mit der schwammigen Auskunft “IT-Schulungsunternehmen” zufrieden stellen und gaben schließlich bereitwillig Auskunft. Lediglich 16 Prozent gaben keine Geschäfts-E-Mail-Adresse weiter, sondern beschränkten sich auf das private elektronische Postfach. Weitere zwölf Prozent der Befragten behielten persönliche Angaben wie den eigenen Namen und E-Mail-Adressen für sich. Beide Gruppen waren aber umso freizügiger, als es darum ging, den Arbeitgeber und die dort eingesetzten IT-Systeme preis zu geben.
“Für böswillige Hacker sind derartige Informationen Gold wert”, erklärt Robert Chapman, Mitbegründer von Firebrand Training und Geschäftsführer der gleichnamigen GmbH. “Unser Experiment hat eindrücklich gezeigt, dass IT-Messen einen Rahmen schaffen, der die Besucher in Sicherheit wiegt. Natürlich spielt die Aussicht auf einen möglichen Gewinn auch eine Rolle. Vermutlich auch deshalb waren so viele – selbst IT-Berater – bereit, ohne Bedenken Auskunft zu geben. Wir konnten auch nicht feststellen, dass Angestellte großer Unternehmen oder öffentlicher Organisationen besser geschult wären, denn auch sie lieferten bereitwillig die gewünschten Informationen. Lediglich die Angst vor Spam trieb einige um, aber auch diese Sorgen ließen sich schnell aus dem Weg räumen.”
“Offensichtlich wissen immer noch zu wenig Mitarbeiter, dass diese Art der Hilfsbereitschaft böse Folgen für die Unternehmenssicherheit haben kann”, so Robert Chapman weiter. “Firmen stehen deshalb in der Verantwortung, ihre Mitarbeiter auf die immer raffinierteren Hacker-Angriffe vorzubereiten, und sie entsprechend zu sensibilisieren.”
